Mag je je verzetten tegen de Aftap- en Hackwet?

Geplaatst op in Regulering, 9 reacties

De Eerste Kamer nam gisteravond een wet aan waarmee de geheime diensten het internet op grote schaal kunnen aftappen, en de verzamelde mailtjes en appjes drie jaar mogen bewaren. Dat las ik bij RTL Nieuws. Maar de wet gaat niet alleen over aftappen: de nieuwe wet maakt het ook mogelijk dat de AIVD kennissen van verdachten mag hacken. Wat diverse lezers de vraag deed opperen: wat mag je daartegen doen, als je de AIVD in je firewall ziet?

Het idee achter dat stukje van de Hackwet is dat de meeste criminelen (althans, verdachten) wel enigszins op de hoogte zijn van elementaire ICT-beveiliging. Kennissen zijn dat waarschijnlijk minder, dus dat biedt dan een interessant secundair kanaal van informatie.

Dat de AIVD iets mag, wil natuurlijk niet zeggen dat je daar automatisch alle gelegenheid voor moet bieden. De wet eist niet dat jouw netwerk aftapbaar of anderszins toegankelijk is voor overheidsdiensten (behalve als je aanbieder van een openbaar telecomnetwerk bent, maar dat terzijde). Als je dus je ICT zo stevig dichttimmert dat de gleufhoeden zuchtend elders heengaan, dan is dat helemaal prima.

Sowieso is het natuurlijk heel verstandig om anno 2017 je netwerk en ICT-middelen goed te beveiligen; malware, spionage vanuit andere landen en gewone criminelen liggen natuurlijk óók op de loer. Dus voorzie alles van encryptie, werk je software bij, installeer een goede firewall en uitgebreide logging en zorg voor moeilijk voor derden toegankelijke backups.

Het opzetten van honeypots waar de aanvaller lang mee bezig is, is al een iets actievere tegenmaatregel. Het idee is dan dat je hem afleidt met een interessante maar neppe bron, bijvoorbeeld een groot bestand dat je iets van “ISIS full membership addresses Netherlands.xlsx” noemt en waar men dan jarenlang decryptie op loslaat voordat men ontdekt dat het gewoon een nepbestand is. Daar is weinig mis mee, dat is hooguit verspilling van iemands tijd.

Lastiger wordt het bij de actievere vormen van verdediging, zoals terughacken, -ddossen en anderszins -slaan van de aanvaller. Een voorbeeld is het neerzetten van dergelijke lokbestanden maar dan voorzien van malware, waarmee je hoopt dat de aanvaller dan wordt geïnfecteerd. Het digitale equivalent van een kluis waarin een kruisboog op scherp staat, met touwtje verbonden aan de deur. Auw.

Dergelijke handelingen zijn natuurlijk strafbaar; verspreiding van malware maar ook het uitvoeren van een DDOS aanval of inbreken in iemands systeem is niet toegestaan onder het Wetboek van Strafrecht. Ook niet als die iemand dat net bij jou zelf stond te doen. Natuurlijk is de kans klein dat de AIVD aangifte gaat doen van een terughack of malware-infectie, maar je weet in het algemeen natuurlijk nooit of het die dienst is dan wel een echte crimineel die een onschuldige derde z’n computer gebruikte om bij jou binnen te dringen. Dus nee, dat zou ik niet doen.

Arnoud

Mag een webshop je bij registratie akkoord laten gaan met de verkoopvoorwaarden?

Geplaatst op in Ondernemingsvrijheid, 9 reacties

Een lezer vroeg me:

Bij een webshop waar ik laatst bestelde, moest ik een account maken. Oké, maar daarbij moest ik ook akkoord gaan met de verkoopvoorwaarden. Daarin bleek te staan dat deze op ieder moment konden wijzigen en dat ik maar bij elke bestelling moest controleren of ik nog akkoord was. Een beetje slinkse truc lijkt me, is dat legaal?

In principe is het legaal om mensen voorafgaand aan het bestellen te vragen een account te maken, en je kunt ze daarbij ook akkoord laten gaan met je verkoopvoorwaarden. Met die constructie valt elke verkoop vanaf dat account vervolgens onder die verkoopvoorwaarden.

Handig voor beide partijen: voor de verkoper want je hoeft het niet steeds te vragen, en voor de koper want die hoeft ze maar één keer te lezen.

De truc van deze webshop doet wat minder gezellig aan. Het lijkt erop dat men zo wil voorkomen dat de klant wijzigingen opmerkt, en dat is natuurlijk een beetje raar. Je kunt zo van alles erin smokkelen, van een kortere betalingstermijn tot boetes of moeilijke klacht- of retourprocedures (bij zakelijke aankopen legaal) en de klant mag niet klagen want gaf een blanco akkoord op de voorwaarden.

Juridisch gezien is dit erg problematisch. Hoofdregel bij het wijzigen van algemene voorwaarden is dat ze dan opnieuw ter hand moeten worden gesteld, net zoals bij de eerste voorwaarden. Stiekem veranderen en “u had gisteren moeten kijken wat er was veranderd” is dus niet legaal. Je moet echt werken met een popup of mailtje dat de wijzigingen aankondigt. Het lijkt mij redelijk als je dan ook even een periode gunt om de voorwaarden te lezen, maar bij een webshop-constructie zou het genoeg zijn om te zeggen “Vanaf uw volgende aankoop gelden onderstaande voorwaarden”.

(Maar Facebook en Twitter doen dat toch ook? Klopt, en dat is ook niet legaal zei Calimero.)

Arnoud

De opmars van de blockchain en haar gevolgen voor het contractenrecht

Geplaatst op in Innovatie, 6 reacties

Wezenlijk nieuw in het recht zijn de mogelijkheden voor nieuwe diensten op basis van blockchaintechnologie. Deze technologie is ontwikkeld in 2009 als onderdeel van de virtuele valuta bitcoin. Het betaalsysteem Bitcoin is in 2009 op de markt gebracht als opensourcesoftware door – vermoedelijk – de Japanner Satoshi Nakamoto. Het betaalsysteem realiseert een virtuele valuta: geen vordering op de bank maar digitale getallen die op zichzelf waarde vertegenwoordigen. Met wiskundige berekeningen worden transacties geautoriseerd. Dit gebeurt op decentrale wijze: er is geen centrale autoriteit, geen bank, die als ultieme arbiter uitspraken doet over transacties. Het gehele netwerk aan bitcoingebruikers beslist tezamen of een transactie legitiem is of niet. En dat opent perspectieven.

Bitcoin kwam precies op het goede moment: vlak na de bankencrisis en net op een moment dat betalen op internet weer eens in de aandacht stond. Het netwerk was groot genoeg om het decentrale stemmen over transacties mogelijk te maken zonder dat één partij daar disproportioneel invloed op kon krijgen. Als digitaal equivalent van contant geld heeft het echter een tikje een kwade reuk gekregen, omdat ook criminelen haar waarde hebben ontdekt – niet-traceerbare betalingen zijn een prachtige manier voor afpersers, datagijzelnemers en ander gespuis om hun sporen verborgen te houden.

Onderliggend aan Bitcoin is de zogeheten blockchaintechnologie. Deze kan veel meer dan alleen virtuele valuta faciliteren. Iedere activiteit waarbij informatie op onweerlegbare wijze moet worden bijgehouden, en een centrale autoriteit niet wenselijk of haalbaar is, is geschikt om middels een blockchain te realiseren. Te denken valt aan identiteitsdiensten, onderhandse aktes, data-opslag of veilig elektronisch stemmen. Daarmee is de noodzaak verdwenen om op één notaris of andere derde partij te moeten vertrouwen.

Een op de blockchain voortbouwende ontwikkeling met juridische relevante is het zogeheten slimme contract. Het gaat hier dan niet om creatieve contractuele bepalingen, maar om softwareprogramma’s die zelfstandig contractuele afspraken uitvoeren en handhaven. Deze programma’s worden in de blockchain geplaatst en opereren vanaf dat moment autonoom. Zij kunnen bijvoorbeeld een betaling ontvangen en vasthouden totdat een specifieke feitelijke handeling (zoals overdracht van een domeinnaam) is verricht, en deze daarna vrijgeven aan de overdragende partij. Zolang de handelingen automatisch uit te voeren zijn en de triggers objectief meetbaar, is opname in een slim contract mogelijk.

Dit roept vragen op: kunnen computers zelfstandig rechtshandelingen verrichten zoals een aan- of verkoop, en wie is voor de gevolgen aansprakelijk te houden? Ook de vraag hoe om te gaan met een programmeerfout of een onbedoelde handeling is een lastige kwestie. Komt dit voor rekening van de programmeur, of is het gewenst dat de rechter daar toch een corrigerende uitspraak kan doen? Dat laatste staat natuurlijk op gespannen voet met het autonome karakter van deze contractsvorm. En zelfs als dat gewenst is: kán dat wel, nu het contract gedecentraliseerd in de blockchain opgenomen is en daarmee niet door één partij te beïnvloeden?

Het debacle rond The DAO laat zien hoe dit kan uitpakken. The DAO is een gedecentraliseerd investeringsvehikel dat opgezet is middels een berg van die slimme contracten, gebruik makend van de Ethereum-blockchainimplementatie. In een van die contracten staat een foutje, althans een onbedoelde feature, waardoor een hacker een zogeheten child DAO, zeg maar een dochtermaatschappij van DAO, op kon zetten waar hij eigenaar van was, met een klein startkapitaal. Het foutje leidde ertoe dat bij het opheffen van die child DAO er een restbedragje overbleef. Zet dan een heleboel DAO’s op en hef ze weer op, en je hebt een aardig bedragje bij elkaar gehackt. Is dit nu legaal of niet?

Naar de letter van het slimme contract is dit legaal. Zo werkt het contract nu eenmaal, en in commentaar bij dat contract werd expliciet gezegd “Niets anders dan deze softwarecode is bindend”. Een juridische standaardfrase – de zogeheten entire agreement-clausule. Maar dat pakte hier wel heel vervelend uit: nu kon men ook niet meer zeggen dat dit onbedoelde bijeffect ongeldig zou moeten zijn.

Als dit een klassiek contract was geweest, dan was dit probleem te beheersen geweest. Je stapt naar de rechter, en die gaat naar redelijkheid en billijkheid interpreteren wat partijen bedoeld hadden. Gezien de situatie lijkt het me evident dat de rechter hier had geoordeeld dat dat geld terug moest. De organisatoren van het netwerk hadden nog maar één keus: alle software van alle gebruikers aanpassen zodat deze de betreffende transacties zou negeren. Dat is alleen natuurlijk wel een forse breuk met het principe dat slimme contracten onbreekbaar zijn en dat niemand er zeggenschap over heeft. Een fundamentele vraag is dan ook: kan en mag een rechter ingrijpen in slimme contracten?

Arnoud PS: dit is een voorpublicatie uit editie 2017/18 van De Wet Op Internet. Teken snel in!

Sollicitanten niet meer vogelvrij op sociale media

Geplaatst op in Privacy, 75 reacties

Even het Twitter-account of de Facebook-site van een potentiële werknemer checken is niet toegestaan, meldde het FD vorige week. De Autoriteit Persoonsgegevens bracht een opiniestuk uit dat er nog eens op wijst dat dit eigenlijk gewoon niet toegestaan is, in ieder geval niet zonder stevige belangenafweging. Waanzin, noemt Quote het en je kunt je natuurlijk afvragen of dit veel gaat veranderen. Maar het is eigenlijk helemaal niet verrassend.

In de basis komt het erop neer dat iemand googelen dan wel zijn social media checken gewoon een verwerking van persoonsgegevens is. Het maakt niet uit of de bron openbaar is, of men zelf koos voor publicatie of wat de voorwaarden van die zoekdiensten of social media diensten ook vermelden. Als je informatie over een persoon opvraagt in een elektronisch systeem, dan is dat een verwerking en dan val je onder de Wbp (en volgend jaar de AVG). Punt.

Als je onder de Wbp/AVG valt, dan moet je een grondslag hebben om dit te mogen doen. Toestemming is de netste grond, maar gaat bij werknemers niet zo goed. Die kunnen naar hun werkgever toe geen toestemming geven, omdat daarvoor vrijwilligheid een vereiste is. En bij de werkgever zit op de achtergrond altijd een zweem van dwang: oh jij wilde volgend jaar promotie/vast contract/ander kantoor, dan zou ik maar niet weigeren. Het is juridisch onmogelijk die zweem weg te nemen.

Bij sollicitanten meen ik dat het anders ligt, je hóeft immers niet te solliciteren dus kan ik prima zeggen “Een Google-zoekopdracht en socialmediasnuffel maakt deel uit van de procedure, solliciteren is toestemming”. Maar het moet dan wel expliciet in de advertentie benoemd zijn, en je moet duidelijk zijn over wat je precies gaat doen.

Oh, en ook niet toegestaan is van je personeel verlangen dat ze je bevrienden of lid worden van je bedrijfsgroep.

Kan het wel? Ja, soms. Er is immers de grondslag van eigen dringende noodzaak, waarbij je kortweg zegt, ik kan niet anders en heb rekening gehouden met de privacy. Volgens deze opinie gaat dat alleen op als het googelen/monitoren:

  • noodzakelijk is voor een legitiem doel;
  • dit doel niet kan worden bereikt op een manier die minder inbreuk maakt op de privacy;
  • proportioneel is en dus niet meer verzamelt of onthult dan nodig is voor het doel.

Een voorbeeld van een legitiem doel is het nagaan of iemand een concurrentiebeding schendt. Hiervoor zou je Linkedin kunnen monitoren op namen van ex-personeel dat zo’n beding heeft. Er zijn weinig tot geen andere bronnen waar je kunt achterhalen wat een ex-werknemer doet, en als je dit ook meldt dat je gaat doen, dan is dit toegestaan.

Een ander voorbeeld is het monitoren van uitgaande mail op mogelijke lekken van bedrijfsgegevens. Dit mag, want het voorkomen van datalekken of geheimlekken is legitiem. En als je bang bent voor lekken via mail, dan is monitoren van de mail natuurlijk de enige manier. Maar de methode moet proportioneel zijn. Dus niet geforceerd alle mailtjes bcc’en naar de directeur ter screening, maar eerder een keyword tool die goed afgesteld is, en bij een match een ander er naar laat kijken. Bij voorkeur pas nadat de afzender zelf een bericht kreeg (“Deze mail lijkt een datalek, is dat juist [Y/n]”) en daar niet op reageerde.

Juridisch gezien is dit allemaal geen verrassing, het is hooguit nieuwe invulling van oude regels. Maar ‘waanzin’ zal het al snel genoemd worden bij veel bedrijven. Je moet toch je security in de gaten kunnen houden, en je betaalt mensen toch om te werken, privacy doen ze maar thuis. Ja precies, maar het wordt dus tijd om een afweging te maken tussen security en privacy. Je hebt nog tot 25 mei want dan staan er hoge boetes op disproportioneel monitoren.

Arnoud

Incassobureau dreigt wanbetaler met filmpje op YouTube

Geplaatst op in Privacy, 23 reacties

Incassobureau Straetus uit Flevoland dreigt wanbetalers en oplichters met het online zetten van beelden op YouTube. Dat meldde de NOS onlangs. De directeur van het bureau spreekt de wanbetaler aan op zijn schulden terwijl de camera het gesprek vastlegt. Met dat extra drukmiddel wil men betaling afdwingen, zo te lezen met name bij partijen die al zijn veroordeeld. En het zou niet strafbaar zijn, omdat gezichten en kentekens worden geblurd.

Nee, dat vind ik geen heel sterk argument. Zeker niet onder de AVG die er volgend jaar aankomt. Een persoonsgegeven is ieder gegeven over een persoon, als dat herleidbaar is. Niet noodzakelijk is dat er een naam of contactgegeven bij staat, of dat een gezicht vrij van camouflagepixels is. Het lijkt mij dat een video van een persoon in diens deuropening al heel snel herleidbaar is (voorbeeldje) ook al is iemand onherkenbaar.

Ik zie eerlijk gezegd niet hoe dit te rechtvaardigen is onder de privacywet. Toestemming is er natuurlijk niet, dus dan moet je je beroepen op hetzij een noodzaak in de uitvoering van een contract of een eigen dringende noodzaak die zwaarder weegt dan de privacy. En in beide gevallen kom je heel snel uit bij de vraag, is dit wel écht nodig als drukmiddel, is er werkelijk niets anders dat je ter beschikking staat?

Naar de rechter gaan ligt bijvoorbeeld voor de hand. Alleen, dan zegt het bureau dat ze dat al gedáán hebben en dat er nog steeds geen geld komt. Kennelijk heeft beslag leggen op en verkopen van inboedel en dergelijke dan ook geen zin, want dat is wat er gebeurt met een wanbetaler na een vonnis. Maar denk ik dan, dan ís er dus kennelijk geen geld, wat wil je dan bereiken met dit dwangmiddel? Dat mensen elders gaan lenen om die schuld af te lossen, omdat ze zich schamen voor de videopublicatie? Dat lijkt me nogal kortzichtig.

Het deed me denken aan dit rapport van de WRR, waarin men vrij droogjes constateert dat dit een breed probleem is: incassopartijen die vanuit eigen belang hard incasseren en daarmee regelingen of andere incassopartijen passeren. Dat schiet natuurlijk niet op, en zorgt voor behoorlijk wat stress bij de wanbetalers. Wat er wetenschappelijk bewezen weer voor zorgt dat ze minder goed kunnen nadenken over wat te doen, zodat de ellende alleen maar toeneemt. Dus wie wat kort door de bocht wil gaan (en ik blog dus ik mag dat) die zou concluderen dat deze actie juist de schuldenlast van Nederland gaat verhogen. Lekker dan.

Voor zover ik kan zien, heeft Straetus nog geen video gepubliceerd.

Arnoud

Hela, Google autocorrigeert mijn blog!

Geplaatst op in Ondernemingsvrijheid, 9 reacties

Een lezer vroeg me:

Al geruime tijd blog ik op Blaze’s Security Blog over internetsecurity. Recent viel me op dat als je zoekt op “bartblaze blog” Google dit autocorrigeert: “Bedoelde u Backblaze blog?” En dan krijg je een blog van een Amerikaanse backupfirma. Is daar wat aan te doen, juridisch?

Deze feature van Google vind ik ook redelijk irritant. Het gebeurt vaak bij spelfouten, maar ook bij relatief obscure termen dat Google besluit dat je wat anders bedoelt, en dan wordt de zoekopdracht daarop uitgevoerd. Vervelend, want dan moet je een extra handeling doen voor je je gewenste informatie krijgt. Daarvoor ga ik niet naar Google.

Hier pakt het nog vervelender uit voor de site-eigenaar, want mensen die hem zoeken, komen nu ineens bij een heel ander bedrijf uit. Waarschijnlijk is dit onbedoeld: statistisch gezien zullen wereldwijd meer mensen zoeken naar de blog van Backblaze dan naar die van Bart Blaze, dus dan is het voor Google logisch om die eerste als correctie op de zoekopdracht te zien. Maar je zit er toch maar mee.

Juridisch gezien is er volgens mij niet veel aan te doen, juist vanwege dat onbedoelde. Het is immers redelijk en legitiem om vermoedelijke spelfouten te corrigeren, en je kunt met één extra stapje teruggaan naar de opdracht die je eigenlijk intypte.

Als dit een bewuste feature was, net zoals Adwords kopen op andermans naam, dan zou dit natuurlijk al snel tegen merk- of handelsnaamrechten aanlopen. Want dan zou het neerkomen op jezelf presenteren wanneer iemand de concurrent zoekt, en dat is merkenrechtelijk redelijk problematisch. Hoewel het daarbij wel uitmaakt of je de concurrent nóemt in je advertentie en in hoeverre er verwarring kan ontstaan tussen jouw bedrijf en dat van de persoon wiens merk je gebruikt.

Ik heb nog niet gevonden of en hoe je hier wat aan kunt doen als webmaster. Als jullie tips hebben, graag!

Arnoud

Ja, als ICT-dienstverlener moet je gewoon backups maken bij je klanten

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Als ICT-dienstverlener heb je gewoon de plicht om backups te maken alvorens je dingen gaat doen waarbij dataverlies kan optreden. Dat maak ik op uit een recent vonnis over een huisartsenpraktijk waar een aardige database verloren ging door de afwezigheid van die backup. De ICT-dienstverlener krijgt dit voor de voeten geworpen. Wat precies de schade is, moet nog worden bepaald. In ieder geval vallen daar de kosten onder van het inschakelen van een waarnemend huisarts.

Dit is het vervolg op de zaak waar ik in januari over blogde. In het algemeen lijkt het goed af te lopen voor deze IT-leverancier, schreef ik toen. Maar dat valt nu tegen:

De rechtbank heeft al geoordeeld dat tijdsdruk geen goede reden was om van het maken van een back-up (of controle daarvan) af te zien, kort gezegd vanwege het grote belang van [eiseres] c.s. bij haar praktijkgegevens en omdat [gedaagde] haar niet vooraf had gewaarschuwd voor de risico’s (tussenvonnis onder 4.6). Wat [gedaagde] daarover bij akte heeft aangevoerd, doet niets af aan zijn verantwoordelijkheid als deskundig ICT-dienstverlener jegens [eiseres] c.s. [gedaagde] kan zich niet verschuilen achter een beweerd blind uitvoeren van ‘opdrachten’ van [eiseres] c.s. zonder deze te hebben gewaarschuwd voor de daaraan verbonden risico’s.

De rechtbank doet nu einduitspraak. Voorop staat dat je als “redelijk bekwaam en redelijk handelend ICT-dienstverlener” er niet zomaar op mag vertrouwen dat de backup die de klant zelf claimt te hebben, goed genoeg is. In ieder geval niet in situaties waarin het belang van die backup groot is (de administratie van een huisartsenpraktijk) en waarin de documentatie bij upgrade die je gaat uitvoeren expliciet waarschuwt “maak een backup”. Dan moet je écht controleren of deze klopt.

Doe je dat niet, dan hang je:

Indien [gedaagde] niet in staat was om de bestaande back-up te controleren, zoals hij lijkt te stellen (akte onder 34 en 35), had hij een nieuwe back-up moeten (laten) maken (al dan niet op zijn eigen server) en deze moeten controleren. [gedaagde] heeft dit alles niet gedaan en dat is aan te merken als een toerekenbare tekortkoming in de nakoming van haar verplichtingen uit de overeenkomst.

En nee, algemene voorwaarden hadden hier waarschijnlijk niet bij geholpen. De rechtbank laat doorschemeren dat deze tekortkoming volgt uit het verzaken van de zorgplicht die je als dienstverlener hebt. Botweg de aansprakelijkheid voor zulk verzaken uitsluiten gaat gewoon niet, dat is niet redelijk. Je gaat gewoon betalen als je klantdata kwijtmaakt of niet zorgt voor een goede backup.

Mogelijk had een expliciete waiver hier wel geholpen. Dan zeg je als dienstverlener “u, klant, wilt iets héél onverstandigs en u tekent hierbij voor afzien van aansprakelijkheidstelling”. Dat kan, maar het moet wel redelijk zijn. Dus dat in je algemene voorwaarden: vergeet het maar. Een op maat gesneden tekst (“Gezien de bloedspoed bij de klus en de schriftelijke verzekering van KPN dat u een online backup heeft, ziet u af van een backup voordat ik begin”) gaat het denk ik wel redden.

Alleen: de tijd die je daarmee bezig bent, is waarschijnlijk vergelijkbaar met de tijd om gewoon even een backup te maken. Of ik mis iets en backups maken is anno 2017 toch nog heel tijdrovend en ingewikkeld.

(Het wordt wel een beetje de week van dataverlies&backup deze week, maar goed, data ís nu eenmaal de kern van ICT-diensten.)

Arnoud

Hoe autonoom is het internet tegenover de wet?

Geplaatst op in Informatiemaatschappij, 19 reacties

In 1996 verklaarde filosoof John Perry Barlow het internet onafhankelijk: “Governments of the Industrial World, you weary giants of flesh and steel, I come from Cyberspace, the new home of Mind. On behalf of the future, I ask you of the past to leave us alone. You are not welcome among us. You have no sovereignty where we gather.” De gedachte was heel mooi geformuleerd, maar niet nieuw. Internet is grensoverschrijdend en decentraal. Het is– vanuit internetperspectief – dan raar dat lokale overheidjes ineens regels op gaan leggen. Alsof je op de A2 ineens maar 80 mag rijden omdat de gemeente Zaltbommel dat milieuvriendelijk vindt, terwijl je bij Vught overdag de lichten aan moet hebben vanuit verkeersveiligheid.

Die gedachte zie je nog steeds veel terug in politieke en filosofische pleidooien over rechtsmacht op internet. Internet regelt zichzelf wel, is dan de gedachte. Ook bij vervelende lokale regels: “The internet treats censorship as damage and routes around it.” Het blijft een nobel streven, maar juridisch gezien is de discussie wel een tikje achterhaald. Want met bovenstaande criteria is het voor rechters geen enkel probleem meer om zich bevoegd te verklaren en uitspraken te doen.

Soms ontstaat daardoor een lastig kat-en-muisspel, zoals bij de vele filesharingdiensten die na Napster opdoken. Napster werd in de VS verboden wegens bijdragen aan auteursrechtinbreuk. Hun centrale server coördineerde namelijk het uitwisselen van muziek zonder toestemming. Opvolgers van Napster, zoals KaZaA, hadden dan ook geen centrale server. KaZaA werd mede daarom bij ons legaal verklaard. En zeker sinds Bittorrent is het technisch een heel stuk complexer om auteursrechtelijk te duiden wat een uitwisselingsdienst nu precies fout doet.

In reactie daarop begon de industrie steeds verder om zich heen te slaan en partijen aan te pakken die op indirecte wijze bij inbreuk betrokken waren. Bij ons heeft stichting Brein de afgelopen tien jaar een heel raamwerk van rechtspraak opgetuigd rond partijen die hyperlinks of andere informatie aanboden naar illegaal beschikbaar materiaal. Ook betaaldiensten en internetproviders werden aangesproken, hoewel tot dusverre zonder succes. Dit is een zorgelijke ontwikkeling. Bad cases make bad law, zoals dat in het Engels heet. Je wilt geen jurisprudentie die primair gericht is op het makkelijk kunnen aanpakken van grapjassen zoals The Pirate Bay.

Dat wil natuurlijk niet zeggen dat wetten en regels onveranderlijk en goed zijn. Innovatie zorgt regelmatig voor botsingen met regels. Een bekend voorbeeld is taxi-app Uber: mensen kunnen zich snel tegen betaling laten vervoeren door een van de chauffeurs van het bedrijf. De kwaliteit wordt geborgd en er zijn weinig problemen. Alleen hebben die chauffeurs geen taxivergunning. Moet Uber (iets preciezer de dienst UberPOP, want ze hebben ook ‘echte’ taxi’s) daarom zijn dienst staken? Of zou de regelgeving over taxivergunningen beter op de helling kunnen, wanneer een taxibedrijf op een andere manier de kwaliteit goed kan borgen?

Arnoud PS: dit is een voorpublicatie uit editie 2017/18 van De wet op internet, en de voorintekening is geopend!

Kabinet heeft geen interesse in Nederlandse boetewet sociale media

Geplaatst op in Uitingsvrijheid, 14 reacties

Het kabinet ziet niks in een nieuwe wet die sociale media beboet bij verspreiding van haatzaaiende berichten, meldde Nu.nl onlangs. Een recent aangenomen Duitse wet zet boetes tot 50 miljoen euro op het doen verspreiden van haatzaaiende, smadelijke of anderszins onrechtmatige inhoud, voor beheerders van social media platforms. Volgens de Nederlandse ministers zou dat weinig toevoegen, en bovendien botsen met de vrijheid van meningsuiting.

Duitsland loopt voorop in het bestrijden van online haatzaaien, discriminatie en dergelijke. Zij zien sociale media als een belangrijke bron van dergelijke informatie, en willen dan ook dat de beheerders daarvan hun verantwoordelijkheid nemen en proactief ingrijpen op dergelijke berichten. In het verleden is veel gesproken over samenwerking, convenanten en dergelijke maar dat mocht niet baten. Vandaar de recente Netzwerkdurchsetzungsgesetz, die verwijdering binnen 24 uur na notificatie vereist op straffe van megaboetes.

Wel moet het evident strafbaar zijn, dus bij twijfel geen boete. En de wet is beperkt tot platforms met meer dan 2 miljoen gebruikers, en geldt niet voor platforms met een wetenschappelijke of journalistieke functie.

Nederland ziet weinig in de wet, en noemt het vooral symbolisch. Uiteindelijk moet iedere klacht toch getoetst bij de rechter, wanneer zo’n boete zou worden opgelegd. Gezien het grote aantal berichten en klachten dat te verwachten is (want het gaat om klachten van bezoekers, niet officiële sommaties van Justitie) is dat niet erg realistisch.

Belangrijker is ook dat er natuurlijk een chilling effect uit kan gaan van zo’n boete. Als platform zou je dan kunnen besluiten gewoon veel minder toe te laten, om te voorkomen dat je ooit in zo’n boetetraject terecht komt. En dat is dan voor Nederland de reden om dit niet te doen.

Ons huidige systeem lijkt goed te werken. Organisaties als het Meldpunt internetdiscriminatie (MiND) beoordelen berichten naar aanleiding van klachten, en verzoeken dan bij de beheerders om weghalen als zij denken dat het illegaal is. Werkt die niet mee, dan kan de organisatie aangifte doen (dat mag immers iedereen, bij vermoede strafbare feiten). In de afgelopen twee jaar is dat drie maal gebeurd. In één geval heeft het OM deze zaak voor de rechter gebracht. Deze zaak loopt nog.

Het lijkt er op dat de meeste bedrijven een aardig effectieve klachtenprocedure hebben, dus ook vanuit dat perspectief zou het weinig toevoegen om boetes te zetten op het niet hebben van een klachtenregeling of uitvoering daarvan.

Arnoud

Mijn hostingprovider weigert de DNS records van mijn domeinen te overhandigen!

Geplaatst op in Informatiemaatschappij, Intellectuele rechten, 15 reacties

Een lezer vroeg me:

Voor een klant moeten we meerdere domeinnamen overnemen van de huidige hoster. Echter wil de hostingpartij huidige ingestelde DNS records niet overhandigen aan zowel de klant als ons, en er is ook geen toegang tot een online omgeving waar ik deze kan downloaden. Mag men dit zo weigeren?

Ja, dat mag men zo weigeren en er is geen grond om die data op te eisen bij de huidige dienstverlener.

Ik blijf het zeggen: juridisch is data helemaal niets, het bestaat niet en je kunt er dus ook geen aanspraak op maken tenzij contractueel is afgesproken van wel. Heel heel soms zou je kunnen beredeneren dat dit impliciet is afgesproken, maar je zult van goeden huize moeten komen en er is geen jurisprudentie hierover.

DNS-data is best cruciaal. Steeds meer diensten autoriseren verzoeken door naar informatie in DNS te kijken. Het bekendste voorbeeld is SPF, een protocol om mailberichten te authenticeren. Wanneer iemand een mailtje verstuurt, wordt dan in de DNS op het afzender-domein gekeken of daar een record is dat toestemming geeft aan deze afzender. Als je die informatie dus niet meeverhuist, dan kun je ineens niet meer mailen naar SPF-gebruikers.

Er is niets wettelijk geregeld voor DNS data, dus zonder afspraak kun je die niet opeisen.

Ook met auteursrecht of databankrecht kom je er niet. Allereerst zit er op dit soort feitelijke informatie geen IE-recht, en ten tweede zijn dergelijke rechten verbodsrechten. Dat wil zeggen dat je de hoster zou kunnen verbieden deze informatie nog te hebben, maar niet dat hij je een kopie moet geven. Auteursrecht is geen eigendom.

De beste manier – maar dat is achteraf – is in het contract of de SLA dus opnemen dat een kopie van de data zal worden verstrekt in een bruikbaar formaat. Heb je dat niet, dan zit er dus weinig anders op dan de data reconstrueren op basis van externe bronnen, in dit geval de openbare DNS. Maar dat kan een heleboel werk zijn, zeker met subdomeinen.

Arnoud